CN111625870A - 基于区块链的安全审计方法、系统及存储介质 - Google Patents

Abstract

本发明公开一种基于区块链的安全审计方法、系统及存储介质，包括用户受理模块、区块链处理模块、审计日志分析模块、区块链分布式存储模块及系统服务器模块；通过将安全审计系统融合区块链技术，利用分布式存储提高审计数据安全性和抗毁性；进一步地，通过共识机制的审计记录存储到区块链中以保证账本的一致性，并利用区块链的可追溯性以提高安全审计的能力。此外，本发明提高了安全审计系统数据的防护能力，进而防止敏感数据泄露，同时实现了数据全生命周期操作记录的区块链登记、审计数据不可篡改、不可否认及可追溯，并有效降低数据泄露的风险。

Description

基于区块链的安全审计方法、系统及存储介质

技术领域

本发明涉及区块链领域，特别是涉及一种基于区块链的安全审计方法、系统及存储介质。

背景技术

目前，区块链是一种近年来兴起的分布式账本技术，应用范围广泛。目前区块链的应用主要集中于金融业，实体经济很多行业都处于探索阶段，具体的应用落地领域包括电子发票，跨境转账，食品、药品、商品溯源等诸多领域。区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链是比特币的一个重要概念，它本质上是一个去中心化的数据库，同时作为比特币的底层技术，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次比特币网络交易的信息，用于验证其信息的有效性和生成下一个区块。而安全审计系统主要用于监视并记录用户在系统中的各类操作行为，通过数据分析，智能判断违规操作数据库的行为，并对违规行为进行记录、报警。

然而，现阶段的安全审计系统内的数据容易被恶意篡改，例如用户登录信息和操作日志信息等，且篡改后未留下任何篡改痕迹，进而造成数据的准确性低，容易被伪造；同时，现阶段的安全审计系统内的数据容易在存储时被窃取或篡改，数据丢失严重，且审计记录追溯困难。

发明内容

本发明的目的是克服现有技术中的不足之处，提供一种能够防止审计数据被篡改或伪造、以及能够实现审计记录可追溯的基于区块链的安全审计方法、系统及存储介质。

本发明的目的是通过以下技术方案来实现的：

一种基于区块链的安全审计系统，包括：用户受理模块、区块链处理模块、审计日志分析模块、区块链分布式存储模块及系统服务器模块，所述用户受理模块与所述区块链处理模块连接，所述审计日志分析模块与所述区块链处理模块连接，所述区块链分布式存储模块与所述审计日志分析模块连接，所述系统服务器模块与所述审计日志分析模块连接，所述审计日志分析模块还分别与所述区块链处理模块及所述区块链分布式存储模块连接；

所述区块链处理模块用于对所述用户受理模块进行授权许可审核，所述系统服务器模块用于对区块链信息进行备份，所述区块链分布式存储模块用于将数据分布式存储于所述系统服务器模块中。

在其中一个实施例中，所述审计日志分析模块包括日志读取单元及预警单元，所述日志读取单元与所述预警单元连接，所述日志读取单元用于读取安全审计系统的日志信息。

在其中一个实施例中，所述区块链处理模块包括CA节点、背书节点及共识节点，所述CA节点用于对所述用户受理模块进行许可证书颁发，所述背书节点用于对事务信息数据进行背书操作，所述共识节点用于将事务信息数据进行排序，并整合生成新的区块。

在其中一个实施例中，还包括系统管理模块，所述系统管理模块包括用户管理单元、菜单管理单元及权限管理单元，所述用户管理单元与所述菜单管理单元连接，所述菜单管理单元与所述权限管理单元连接。

在其中一个实施例中，还包括区块链管理模块，所述区块链管理模块用于监控交易数据及区块数据。

在其中一个实施例中，所述区块链处理模块还包括主节点及确认节点，所述主节点用于验证事务信息数据，所述确认节点用于同步所述主节点的事务信息数据。

在其中一个实施例中，还包括识别模块，所述识别模块与所述用户受理模块连接，所述识别模块用于识别事务信息数据的类型。

在其中一个实施例中，还包括大容量文件存储模块，所述大容量存储模块与所述用户受理模块连接。

基于上述实施例中的一种基于区块链的安全审计方法，包括：

S101、所述CA节点对用户受理模块进行授权审核；

S102、所述用户受理模块获得授权后，向区块链网络发起事务处理提案，并将所述事务处理提案发送至所述大容量文件存储模块；

S103、所述大容量文件存储模块对所述事务处理提案进行文件容量判断，若所述文件容量未超过预设阈值，则所述大容量文件存储模块将所述事务处理提案发送至所述识别模块，以进行所属事件类型识别，进而选取不同的链；

S104、所述识别模块将所述事务处理提案发送至所述背书节点进行背书处理，背书节点对所述事务处理提案执行背书策以及验证签名操作，以形成事务信息数据，并将所述事务信息数据发送至所述用户受理模块；

S105、所述用户受理模块对所述事务信息数据整合生成交易信息数据，并发送至所述共识节点；

S106、所述共识节点对所述交易信息数据进行共识排序，以生成新的区块，并将所述区块发送至所述主节点；

S107、所述主节点对所述区块的信息进行验证，得到待处理区块，同时所述确认节点将所述待处理区块同步至世界状态数据库及区块数据库中；进一步地，所述系统服务器模块对所述世界状态数据库及所述区块数据库进行备份。

一种存储介质，所述存储介质存储有多条介质指令，所述指令适于处理器进行加载，以执行本发明实施例提供的任一项所述的基于区块链的安全审计方法中的步骤。

本发明相比于现有技术的优点及有益效果如下：

本发明为一种基于区块链的安全审计方法、系统及存储介质，通过将安全审计系统融合区块链技术，利用分布式存储提高审计数据安全性和抗毁性；进一步地，通过共识机制的审计记录存储到区块链中以保证账本的一致性，并利用区块链的可追溯性以提高安全审计的能力。此外，本发明提高了安全审计系统数据的防护能力，进而防止敏感数据泄露，同时实现了数据全生命周期操作记录的区块链登记、审计数据不可篡改、不可否认及可追溯，并有效降低数据泄露的风险。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本发明一实施方式的基于区块链的安全审计系统的功能模块图；

图2为本发明一实施方式的基于区块链的安全审计系统的系统架构图；

图3为本发明一实施方式的基于区块链的安全审计方法的方法流程图；

图4为本发明一实施方式的基于区块链的安全审计系统的业务调用流程示意图；

图5为本发明一实施方式的基于区块链的安全审计系统的硬件部署示意图。

具体实施方式

为了便于理解本发明，下面将参照相关附图对本发明进行更全面的描述。附图中给出了本发明的较佳实施方式。但是，本发明可以以许多不同的形式来实现，并不限于本文所描述的实施方式。相反地，提供这些实施方式的目的是使对本发明的公开内容理解的更加透彻全面。

需要说明的是，当元件被称为“固定于”另一个元件，它可以直接在另一个元件上或者也可以存在居中的元件。当一个元件被认为是“连接”另一个元件，它可以是直接连接到另一个元件或者可能同时存在居中元件。本文所使用的术语“垂直的”、“水平的”、“左”、“右”以及类似的表述只是为了说明的目的，并不表示是唯一的实施方式。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施方式的目的，不是旨在于限制本发明。本文所使用的术语“及/或”包括一个或多个相关的所列项目的任意的和所有的组合。

请参阅图1和图2，一种基于区块链的安全审计系统10，包括：用户受理模块100、区块链处理模块200、审计日志分析模块300、区块链分布式存储模块400及系统服务器模块500，用户受理模块100与区块链处理模块200连接，审计日志分析模块300与区块链处理模块200连接，区块链分布式存储模块400与审计日志分析模块300连接，系统服务器模块500与审计日志分析模块300连接，审计日志分析模块300还分别与区块链处理模块200及区块链分布式存储模块400连接；区块链处理模块200用于对用户受理模块100进行授权许可审核，系统服务器模块500用于对区块链信息进行备份，区块链分布式存储模块400用于将数据分布式存储于系统服务器模块500中。

需要说明的是，本申请采用多链技术，将不同主题的事务数据存储在多条不同的链上，例如：主机事件审计链、网络事件审计链、数据库审计链和应用系统审计链等，多链结构减少了单条区块链和单个区块的存储量，增大了单个数据区块的容量，从而进一步增大了事务吞吐量，提高了交易速度。

还需要说明的是，用户受理模块100指的是安全审计系统中的用户登录注册部分，即用户需要注册账户以申请加入整个区块链系统中。进一步地，系统服务器模块用于备份经过确认的区块链信息，进而提高了事务查询的效率。再进一步地，用户在查询审计记录的操作中，审计记录是直接调用系统服务器模块内的区块数据库及世界状态数据库，通过权限控制是该系统服务器模块500的账本只能同步区块链系统的账本，在防止篡改和伪造审计记录的同时，能够提高查询的效率。并且，查询操作主要通过区块链管理系统，使结果通过图形化显示，并可实现对查询记录的统计、排序和聚合操作等，同时可查询区块、节点、群组和交易等记录。其中，世界状态数据库用于存储区块链上的区块信息的关键字段，以方便快速索引，而区块数据库用于存储区块链的所有信息。

请参阅图1，进一步地，在一实施方式中，审计日志分析模块300包括日志读取单元及预警单元，日志读取单元与预警单元连接，日志读取单元用于读取安全审计系统的日志信息。

进一步地，具体地，审计日志分析模块300还包括审计记录显示模块及日志存储模块，审计记录显示模块与系统服务器模块500连接，审计记录显示模块用于显示查询结果，以使方便用户查看，日志存储模块用于通过区块链分布式存储模块将日志信息存储于系统服务器模块中。

在一实施例中，预警单元包括预警指标装置、预警分析与处理装置和预警管理控制装置。首先，日志读取模块保证了安全审计系统的日志信息能实时读取，并利用区块链的不可伪造的特点保证数据的可靠性，另外区块链分布式模块的设计保证了数据库不可篡改，只要有一半以上节点没有被黑客攻击就不会对整个区块链系统造成影响。预警指标装置用于对所在行业的安全风险的数据和信息进行分析，构建一个科学的评价体系，选出预警指标。预警分析与管理装置用于针对预警指标模块选取的不同指标，根据评价体系中发生的概率、产生的后果等因素，划分不同的等级，并设置不同的预警规则和风控级别，分别采取不同的限制或报警处理。而对于一些危险权重高的指标可以设置触发即报警，如安全审计系统遭受攻击，短期内产生大量的垃圾日志；对于一些危险权重低的指标可以设置多次触发报警，如用户登录账户和密码错误，可设置允许输入5次才报警，进而防止因用户输错账户密码导致报警频繁。预警管理控制装置，主要功能是控制和规范整个审计预警管理活动。可以分为预警前馈控制、审计实时提醒和预警反馈控制三部分。预警前馈控制是对风险预警可能达到的标准进行事前控制，如控制短期急速的访问量，以防止发生DDoS攻击等；审计实时提醒是当有些风险达到报警提示时，系统会同时发送短信、邮件和微信公众号提醒给相关人员，以及时应对风险；预警反馈控制是针对具体的预警管理过程中的风险进行统计总结，并同之前建立的预警指标规则和风控级别进行对比、分析，实时修正和改进审计预警机制，以减少日后出现的风险。如此，通过设置日志读取模块、预警指标装置、预警分析与处理装置和预警管理控制装置，能够使得安全审计系统有个完善的预警规则，进而能够提高安全审计系统中的审计记录的安全性。

请参阅图1，进一步地，在一实施方式中，区块链处理模块200包括CA节点、背书节点及共识节点，CA节点用于对用户受理模块进行许可证书颁发，背书节点用于对事务信息数据进行背书操作，共识节点用于将事务信息数据进行排序，并整合生成新的区块。

请参阅图1，进一步地，在一实施方式中，基于区块链的安全审计系统10还包括系统管理模块600，系统管理模块600包括用户管理单元、菜单管理单元及权限管理单元，用户管理单元与菜单管理单元连接，菜单管理单元与权限管理单元连接。

需要说明的是，系统管理模块600与审计日志分析模块连接，系统管理模块600用于对安全审计系统进行综合管理，例如用户列表管理、功能菜单管理以及用户权限管理。

请参阅图1，进一步地，在一实施方式中，基于区块链的安全审计系统10还包括区块链管理模块700，区块链管理模块700用于监控交易数据及区块数据。

请参阅图1，进一步地，在一实施方式中，区块链处理模块200还包括主节点及确认节点，主节点用于验证事务信息数据，确认节点用于同步主节点的事务信息数据。

请参阅图1，进一步地，在一实施方式中，基于区块链的安全审计系统10还包括识别模块800，识别模块800与用户受理模块100连接，识别模块800用于识别事务信息数据的类型。

需要说明的是，识别模块800用于识别事务信息数据的主题类型，可根据不同主题类型选择不同的链。

请参阅图1，进一步地，在一实施方式中，基于区块链的安全审计系统10还包括大容量文件存储模块900，大容量存储模块900与用户受理模块100连接。

需要说明的是，大容量文件存储模块900为星际文件系统，该系统支持对审计过程中的大文件哈希值进行存储上链，而文件存储在区块链中不同的节点上，既保存了审计过程中的大文件，又没有额外增大区块链中的数据，保持原区块链系统的吞吐量和效率。部分文件如果特别大，还会拆分为多个文件进行存储，并多点备份，保证系统的可靠性和持续可用性。其中，这里的大文件指的视频文件或者较大的图片文件。

上述一种基于区块链的安全审计系统10，通过将安全审计系统融合区块链技术，利用分布式存储提高审计数据安全性和抗毁性；进一步地，通过共识机制的审计记录存储到区块链中以保证账本的一致性，并利用区块链的可追溯性以提高安全审计的能力。此外，本发明提高了安全审计系统数据的防护能力，进而防止敏感数据泄露，同时实现了数据全生命周期操作记录的区块链登记、审计数据不可篡改、不可否认及可追溯，并有效降低数据泄露的风险。

请参阅图3和图4，基于上述实施例中的一种基于区块链的安全审计方法，包括：

S101、CA节点对用户受理模块进行授权审核；

S102、用户受理模块获得授权后，向区块链网络发起事务处理提案，并将事务处理提案发送至大容量文件存储模块；

S103、大容量文件存储模块对事务处理提案进行文件容量判断，若文件容量未超过预设阈值，则大容量文件存储模块将事务处理提案发送至识别模块，以进行所属事件类型识别，进而选取不同的链；

S104、识别模块将事务处理提案发送至背书节点进行背书处理，背书节点对事务处理提案执行背书策以及验证签名操作，以形成事务信息数据，并将事务信息数据发送至用户受理模块；

S105、用户受理模块对事务信息数据整合生成交易信息数据，并发送至共识节点；

S106、共识节点对交易信息数据进行共识排序，以生成新的区块，并将区块发送至主节点；

S107、主节点对区块的信息进行验证，得到待处理区块，同时确认节点将待处理区块同步至世界状态数据库及区块数据库中；进一步地，系统服务器模块对世界状态数据库及区块数据库进行备份。

为了更好的解释上述基于区块链的安全审计方法，下面为一具体实施例：

用户首先在安全设计系统的客户端中注册账户，以申请加入区块链系统，同时，CA节点进行审核，若符合加入条件，则颁发许可证书，予以授权。这里的许可证书是由第三方CA认证机构颁发，保证真实有效具备法定权威，且不可篡改不可伪造。

用户获得授权后即可搜集并提交事务处理数据上链申请，此时，大容量文件存储模块会对事务处理数据进行判断，判断其文件容量是否超过预设阈值，若有，则将事务处理数据哈希值存储上链，同时生成事务处理文件，事务处理文件存储在区块链的节点上。若无，则将事务处理数据发送至识别模块，识别模块根据不同的事件类型选择不同的链，同时根据不同的事件类型调用不同的区块链上的智能合约，并将事务处理数据签名，然后发送至背书节点；

背书节点接收到事务处理数据后，对事务处理数据进行验证签名，签名验证通过后按指定的背书策略进行背书操作，并生成事务信息数据，同时将事务信息数据发送至用户的客户端；

用户客户端接收事务信息数据后，判断事务信息数据是否有按照背书策略执行，若否，则终止处理；若是，则将事务信息数据整合生成交易信息数据，并签名发送至共识节点；

共识节点接收到交易信息数据后，对交易信息数据进行共识排序，以生成新的区块，并将所述区块发送至所述主节点；

主节点会对区块信息的内容进行认证，其中，区块信息的内容包括事务结构的完整性以及签名信息，待认证通过后，得到待处理区块，对待处理区块进行上链，同时确认节点从主节点同步待处理区块，并将待处理区块同步至世界状态数据库及区块数据库中，完成上链过程；

系统服务器模块对世界状态数据库及区块数据库进行备份。

上述基于区块链的安全审计方法，通过将安全审计系统融合区块链技术，利用分布式存储提高审计数据安全性和抗毁性；进一步地，通过共识机制的审计记录存储到区块链中以保证账本的一致性，并利用区块链的可追溯性以提高安全审计的能力。此外，本发明提高了安全审计系统数据的防护能力，进而防止敏感数据泄露，同时实现了数据全生命周期操作记录的区块链登记、审计数据不可篡改、不可否认及可追溯，并有效降低数据泄露的风险。

一种存储介质，存储介质存储有多条介质指令，指令适于处理器进行加载，以执行本发明实施例提供的任一项的基于区块链的安全审计方法中的步骤。

进一步地，请参阅图5，为加强审计系统的保密性和安全性，本发明采用专用密码服务器。通过统一的区块链密码服务接口，将上层的区块链基础设施的区块链密码服务请求转换为具体的基础密码操作请求，通过密码设备应用接口实现密码设备的管理以及实现具体的密码运算和密钥操作，为基于区块链的安全审计系统提供数据哈希、数据加密、数据解密、签名、验签等区块链密码服务。

与现有技术相比，本发明具有以下优点：

上述一种基于区块链的安全审计方法、系统及存储介质，通过将安全审计系统融合区块链技术，利用分布式存储提高审计数据安全性和抗毁性；进一步地，通过共识机制的审计记录存储到区块链中以保证账本的一致性，并利用区块链的可追溯性以提高安全审计的能力。此外，本发明提高了安全审计系统数据的防护能力，进而防止敏感数据泄露，同时实现了数据全生命周期操作记录的区块链登记、审计数据不可篡改、不可否认及可追溯，并有效降低数据泄露的风险。

以上所述实施方式仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种基于区块链的安全审计系统，其特征在于，包括：用户受理模块、区块链处理模块、审计日志分析模块、区块链分布式存储模块及系统服务器模块，所述用户受理模块与所述区块链处理模块连接，所述审计日志分析模块与所述区块链处理模块连接，所述区块链分布式存储模块与所述审计日志分析模块连接，所述系统服务器模块与所述审计日志分析模块连接，所述审计日志分析模块还分别与所述区块链处理模块及所述区块链分布式存储模块连接；

所述区块链处理模块用于对所述用户受理模块进行授权许可审核，所述系统服务器模块用于对区块链信息进行备份，所述区块链分布式存储模块用于将数据分布式存储于所述系统服务器模块中。

2.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，所述审计日志分析模块包括日志读取单元及预警单元，所述日志读取单元与所述预警单元连接，所述日志读取单元用于读取安全审计系统的日志信息。

3.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，所述区块链处理模块包括CA节点、背书节点及共识节点，所述CA节点用于对所述用户受理模块进行许可证书颁发，所述背书节点用于对事务信息数据进行背书操作，所述共识节点用于将事务信息数据进行排序，并整合生成新的区块。

4.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，还包括系统管理模块，所述系统管理模块包括用户管理单元、菜单管理单元及权限管理单元，所述用户管理单元与所述菜单管理单元连接，所述菜单管理单元与所述权限管理单元连接。

5.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，还包括区块链管理模块，所述区块链管理模块用于监控交易数据及区块数据。

6.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，所述区块链处理模块还包括主节点及确认节点，所述主节点用于验证事务信息数据，所述确认节点用于同步所述主节点的事务信息数据。

7.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，还包括识别模块，所述识别模块与所述用户受理模块连接，所述识别模块用于识别事务信息数据的类型。

8.根据权利要求1所述的基于区块链的安全审计系统，其特征在于，还包括大容量文件存储模块，所述大容量存储模块与所述用户受理模块连接。

9.基于上述权利要求1～8的一种基于区块链的安全审计方法，其特征在于，包括如下步骤：

所述CA节点对用户受理模块进行授权审核；

所述用户受理模块获得授权后，向区块链网络发起事务处理提案，并将所述事务处理提案发送至所述大容量文件存储模块；

所述大容量文件存储模块对所述事务处理提案进行文件容量判断，若所述文件容量未超过预设阈值，则所述大容量文件存储模块将所述事务处理提案发送至所述识别模块，以进行所属事件类型识别，进而选取不同的链；

所述识别模块将所述事务处理提案发送至所述背书节点进行背书处理，背书节点对所述事务处理提案执行背书策以及验证签名操作，以形成事务信息数据，并将所述事务信息数据发送至所述用户受理模块；

所述用户受理模块对所述事务信息数据整合生成交易信息数据，并发送至所述共识节点；

所述共识节点对所述交易信息数据进行共识排序，以生成新的区块，并将所述区块发送至所述主节点；

所述主节点对所述区块的信息进行验证，得到待处理区块，同时所述确认节点将所述待处理区块同步至世界状态数据库及区块数据库中；进一步地，所述系统服务器模块对所述世界状态数据库及所述区块数据库进行备份。

10.一种存储介质，其特征在于，所述存储介质存储有多条介质指令，所述指令适用于处理器进行加载，以执行权利要求9中所述的基于区块链的安全审计方法中的步骤。

Images